Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'csrss' = '"C:\Recovery\4cc8e8a4-51d2-11ee-b826-9a90d4dcffb5\csrss.exe"'
- [HKLM\Software\Microsoft\Windows\CurrentVersion\Run] 'csrss' = '"C:\Recovery\4cc8e8a4-51d2-11ee-b826-9a90d4dcffb5\csrss.exe"'
- [HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'explorer.exe, "C:\Recovery\4cc8e8a4-51d2-11ee-b826-9a90d4dcffb5\csrss.exe"'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'wininit' = '"C:\MSOCache\All Users\wininit.exe"'
- [HKLM\Software\Microsoft\Windows\CurrentVersion\Run] 'wininit' = '"C:\MSOCache\All Users\wininit.exe"'
- [HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'explorer.exe, "C:\Recovery\4cc8e8a4-51d2-11ee-b826-9a90d4dcffb5\csrss.exe", "C:\MSOCache\All Users\wininit.exe"'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'services' = '"C:\Users\Default User\services.exe"'
- [HKLM\Software\Microsoft\Windows\CurrentVersion\Run] 'services' = '"C:\Users\Default User\services.exe"'
- [HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'explorer.exe, "C:\Recovery\4cc8e8a4-51d2-11ee-b826-9a90d4dcffb5\csrss.exe", "C:\MSOCache\All Users\wininit.exe", "C:\User...
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'cmd' = '"C:\kms\cmd.exe"'
- [HKLM\Software\Microsoft\Windows\CurrentVersion\Run] 'cmd' = '"C:\kms\cmd.exe"'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'winSvc' = '"C:\MSOCache\All Users\{90140000-0044-0409-1000-0000000FF1CE}-C\winSvc.exe"'
- [HKLM\Software\Microsoft\Windows\CurrentVersion\Run] 'winSvc' = '"C:\MSOCache\All Users\{90140000-0044-0409-1000-0000000FF1CE}-C\winSvc.exe"'
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\csrssc
- <SYSTEM32>\tasks\csrss
- <SYSTEM32>\tasks\wininitw
- <SYSTEM32>\tasks\wininit
- <SYSTEM32>\tasks\cmdc
- <SYSTEM32>\tasks\services
- <SYSTEM32>\tasks\cmd
- <SYSTEM32>\tasks\servicess
- <SYSTEM32>\tasks\winsvcw
- <SYSTEM32>\tasks\winsvc
Вредоносные функции
Для затруднения выявления своего присутствия в системе
добавляет исключения антивируса:
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:\Recovery\4cc8e8a4-51d2-11ee-b826-9a90d4dcffb5\csrss.exe'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:\MSOCache\All Users\wininit.exe'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:\kms\cmd.exe'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:\Users\Default User\services.exe'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:\MSOCache\All Users\{90140000-0044-0409-1000-0000000FF1CE}-C\winSvc.exe'
Изменения в файловой системе
Создает следующие файлы
- C:\hyperintosessionruntimecommon\winsvc.exe
- %HOMEPATH%\desktop\uxyllmtf.log
- C:\recovery\4cc8e8a4-51d2-11ee-b826-9a90d4dcffb5\csrss.exe
- C:\recovery\4cc8e8a4-51d2-11ee-b826-9a90d4dcffb5\886983d96e3d3e
- C:\msocache\all users\wininit.exe
- C:\msocache\all users\56085415360792
- C:\users\default user\services.exe
- C:\users\default user\c5b4cb5e9653cc
- %HOMEPATH%\desktop\zgtwdire.log
- C:\kms\cmd.exe
- C:\msocache\all users\{90140000-0044-0409-1000-0000000ff1ce}-c\winsvc.exe
- C:\msocache\all users\{90140000-0044-0409-1000-0000000ff1ce}-c\57d7d12e4bc132
- %TEMP%\tvjoqdwk.0.cs
- %TEMP%\tvjoqdwk.cmdline
- %TEMP%\tvjoqdwk.out
- %TEMP%\9rm4hd1fqx
- %TEMP%\79kkxlaqed.bat
- %HOMEPATH%\desktop\grxrccjg.log
- %HOMEPATH%\desktop\mjaqfiou.log
- %HOMEPATH%\desktop\rfbhmoeo.log
- %HOMEPATH%\desktop\rfkxtjkg.log
- %HOMEPATH%\desktop\tagswikd.log
- C:\hyperintosessionruntimecommon\gycaxudxhggybk.bat
- %HOMEPATH%\desktop\rvtayfmp.log
- %HOMEPATH%\desktop\ltkejjiy.log
- %HOMEPATH%\desktop\rwdjizdq.log
- %HOMEPATH%\desktop\olxsbmsx.log
- %HOMEPATH%\desktop\lascuyhe.log
- %HOMEPATH%\desktop\crzmkwcx.log
- nul
- C:\kms\ebf1f9fa8afd6d
- %HOMEPATH%\desktop\tcrcxwru.log
- %HOMEPATH%\desktop\xazgwewl.log
- %HOMEPATH%\desktop\gtibcrrx.log
- %HOMEPATH%\desktop\fyngztra.log
- %HOMEPATH%\desktop\jlfebpgo.log
- %HOMEPATH%\desktop\zcczlsvp.log
- %HOMEPATH%\desktop\xggehtvs.log
- %HOMEPATH%\desktop\nidtucfo.log
- C:\hyperintosessionruntimecommon\wxr717adxnwz4de4py07hez6fe6gvp0u3zf.vbe
- %HOMEPATH%\desktop\htrqjmwp.log
- %HOMEPATH%\desktop\xiycurth.log
Удаляет следующие файлы
- %TEMP%\tvjoqdwk.0.cs
- %TEMP%\tvjoqdwk.cmdline
- %TEMP%\tvjoqdwk.out
- %TEMP%\9rm4hd1fqx
Перемещает следующие файлы
- %ProgramFiles%\microsoft office\office14\bcssync.exe в %ProgramFiles%\microsoft office\office14\bcssync.exe.exe
Сетевая активность
UDP
- 'localhost':123
Другое
Ищет следующие окна
- ClassName: 'EDIT' WindowName: ''
Создает и запускает на исполнение
- '%WINDIR%\syswow64\wscript.exe' "C:\hyperIntosessionRuntimecommon\wxr717ADXnwz4DE4py07hEz6fe6gvP0u3Zf.vbe"
- 'C:\hyperintosessionruntimecommon\winsvc.exe'
- 'C:\recovery\4cc8e8a4-51d2-11ee-b826-9a90d4dcffb5\csrss.exe'
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c ""C:\hyperIntosessionRuntimecommon\GYCAXudXHGGYbK.bat" " (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C "%TEMP%\79kkXlaQED.bat" (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /create /tn "winSvcw" /sc MINUTE /mo 8 /tr "'C:\MSOCache\All Users\{90140000-0044-0409-1000-0000000FF1CE}-C\winSvc.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "winSvc" /sc ONLOGON /tr "'C:\MSOCache\All Users\{90140000-0044-0409-1000-0000000FF1CE}-C\winSvc.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "winSvcw" /sc MINUTE /mo 7 /tr "'C:\MSOCache\All Users\{90140000-0044-0409-1000-0000000FF1CE}-C\winSvc.exe'" /f
- '<SYSTEM32>\schtasks.exe' /create /tn "cmdc" /sc MINUTE /mo 11 /tr "'C:\kms\cmd.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "cmd" /sc ONLOGON /tr "'C:\kms\cmd.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "cmdc" /sc MINUTE /mo 8 /tr "'C:\kms\cmd.exe'" /f
- '<SYSTEM32>\schtasks.exe' /create /tn "servicess" /sc MINUTE /mo 12 /tr "'C:\Users\Default User\services.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "services" /sc ONLOGON /tr "'C:\Users\Default User\services.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "servicess" /sc MINUTE /mo 12 /tr "'C:\Users\Default User\services.exe'" /f
- '<SYSTEM32>\schtasks.exe' /create /tn "wininitw" /sc MINUTE /mo 13 /tr "'C:\MSOCache\All Users\wininit.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "wininit" /sc ONLOGON /tr "'C:\MSOCache\All Users\wininit.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "wininitw" /sc MINUTE /mo 6 /tr "'C:\MSOCache\All Users\wininit.exe'" /f
- '%WINDIR%\microsoft.net\framework64\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\tvjoqdwk.cmdline" (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /create /tn "csrssc" /sc MINUTE /mo 9 /tr "'C:\Recovery\4cc8e8a4-51d2-11ee-b826-9a90d4dcffb5\csrss.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "csrss" /sc ONLOGON /tr "'C:\Recovery\4cc8e8a4-51d2-11ee-b826-9a90d4dcffb5\csrss.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "csrssc" /sc MINUTE /mo 8 /tr "'C:\Recovery\4cc8e8a4-51d2-11ee-b826-9a90d4dcffb5\csrss.exe'" /f
- '<SYSTEM32>\chcp.com' 65001
- '<SYSTEM32>\w32tm.exe' /stripchart /computer:localhost /period:5 /dataonly /samples:2
